FortiMail: el día cero CVE-2026-104286 ya se explota
Fortinet ha revelado una vulnerabilidad crítica en FortiMail, su appliance de seguridad para correo electrónico. Los atacantes ya la están explotando de forma activa para ejecutar código o comandos no autorizados en los dispositivos expuestos. El fallo se identifica como CVE-2026-104286, tiene una puntuación CVSS de 9,8 y se encuentra en la interfaz de administración del producto.
La mayoría de las ramas afectadas aún no tienen parches. De momento, muchos administradores solo pueden recurrir a medidas alternativas.
Cómo funciona el fallo
En su aviso, publicado el jueves, Fortinet describe el error como la combinación de dos debilidades. La primera es un problema de path traversal (CWE-22). La segunda es una gestión incorrecta de los bytes o caracteres NULL (CWE-158). Juntas, pueden permitir que un atacante sin credenciales escriba archivos arbitrarios en el sistema subyacente mediante peticiones HTTP o HTTPS especialmente manipuladas.